SGML CatalogThis Page has moved to a new address: kunishi’s blog: SGML Catalog Sorry for the inconvenience… Redirection provided by Blogger to WordPress Migration Service
対策遅らせるHTMLエンコーディングの「神話」
クロスサイト・スクリプティングという言葉は元々，WebアプリケーションのHTMLエンコード漏れなどを利用することによって第三者にJavaScriptを実行させる手法を指す。広義では，HTMLのエンコードによる画面改変などを含むこともある。 前回述べたように，クロスサイト・スクリプティングのぜい弱性はWebアプリケーションに見付かるぜい弱性の半分以上を占める。数年前から指摘されているにもかかわらず，一向になくならない。その理由として，クロスサイト・スクリプティング対策あるいはHTMLエンコード注1）に対する「神話」があり，正しい対策の普及を遅らせているように思う。その「神話」の数々について説明しよう。 注1）実体参照（entity reference）というのが正式だが，あまり普及していない用語なので，HTMLエンコードという用語を用いる 「すべからくHTMLエンコードすべし」が鉄則 HTM
コラム： 先達の示唆に形を与えられるか
この記事は、月刊『JavaWorld』誌（IDGジャパン）連載「XMLボキャブラリ の理論と実践」第1回（2001年）に付属のコラム（本文外）原稿である。 筆者の立場は、 多数のボキャブラリを同時に考え、それらの相互関係に注目する。 取り扱いがたい複雑性を認めたうえで、現実的有効性を持つ単純化を探 す。 と要約できる。なぜこのような立場をとるかには、現象からの動機と、確信に 到った状況証拠がいくつもある。それらの現象は、本編の素材として取り上げ ていく事として、このコラムでは、筆者の私的モチベーションを述べよう。 かつて、SGMLのさまざまな欠点に失望・落胆した筆者は、XMLにおいて、SGMLの 多くの機能が削り落とされたことに「せいせいした」と快哉を叫んだ（ま だ余分なものが含まれていると思っているが）。その一方で、SGMLや HyTime(SGMLの姉妹規格のようなもの)のなかで曖昧に
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SGMLとDTD
O'Reilly Media - Technology and Business Training
Loading...
http://www.asahi-net.or.jp/~bd9y-ktu/pgsgml_f/
